Praktyczne aspekty implementacji IGP

1. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 1
Praktyczne aspekty
implementacji IGP
Piotr Jabłoński
pijablon@cisco.com

2. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 2
Ogólne rekomendacje
Jeden proces IGP w całej sieci.
Idealnie jeden obszar.
Wiele obszarów w całej sieci w
zale ności od ilości oraz rodzaju
u ytego sprzętu oraz od mo liwości
innych protokołów.
BGP przenosi prefiksy zewnętrzne,
IGP wskazuje next-hop do tych tras.
Sieć transportowa
POP
POP
POP
Area 3
BGP 1
Area 1
BGP 1
Area 2
BGP 1Area0
BGP 1

3. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 3
Wybór protokołu IGP
Najwa niejsze czynniki: koszty migracji, architektura sieci,
znajomość protokołu.
ISIS jest mniej podatny na ataki z zewnątrz np. DoS.
ISIS jest prostszym protokołem w budowie, ni OSPF. Wszystkie
LSP korzystają z TLV. Szybciej pojawiają się rozszerzenia
wspomagające nowe funkcjonalności.
ISIS wyró nia się priorytetyzacją instalacji prefiksów w tablicy RIB
oraz szerszymi mo liwościami znakowania prefiksów.
Niewielkie ró nice w przeliczeniu SPF na korzyść ISIS.
Więcej urządzeń wspiera OSPF.

4. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 4
Zmiana liczby prefiksów o
20 tys. spowodowała wzrost
czasu przeliczenia SPF o
10 ms.
Zmiana liczby routerów o
3000 spowodowała wzrost
czasu przeliczenia SPF o
200 ms.
Liczba routerów w sieci
IPv4/IPv6 jest głównym
czynnikiem wpływającym na
konwergencję.
350
300
200
150
100
50
250
Milisekund
5000
10000
15000
20000
25000
1000
R
outerów
2000
R
outerów
3000
R
outerów
4000
R
outerów
10 ms
200 ms
Co ma większy wpływ?
Ilość routerów, czy ilość prefiksów?
Przeliczenie SPF

5. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 5
Ilość routerów w obszarze
Obszar Area 0, Level-2 nie musi
pokrywać się z faktyczną topologią
routerów P.
Limit ilości routerów zale ny od
akceptowalnej konwergencji.
Test konwergencji dla ISIS:
Area 1
BGP 1

6. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 6
Ilość tras w IGP
Redukcja rozmiar tablicy IGP do
ilości Loopbacków.
Większe bezpieczeństwo, mniej
rozgłoszeń.
Dodatkowy zysk do
konwergencji.
Ostro nie z agregacją tras.
Prefix-suppression w OSPF lub
advertise passive-only w ISIS
RR WAN
Regionalny
szkielet
PE
PE PE
NMS
CE CE CE
IGP

7. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 7
Limity skalowalności
Nieaktualne ograniczenia
OSPF: Odświe enie bazy z LSA maksymalnie co 60 minut.
Rozwiązanie: DoNotAge bit - ip ospf flood-reduction
ISIS: Maks. ilość fragmentów LSP = 255, ok. 30tys. Prefiksów
Rozwiązanie: IS Alias ID TLV, uruchomione domyślnie
Aktualne ograniczenia
Wymagany czas konwergencji, ilość sąsiadów w obszarze.
OSPF: jedno LSA typu 3, 4, 5, 7 mo e zawierać informację tylko
o jednym prefiksie. ISIS nie ma takich obostrzeń.

8. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 8
Redystrybucja
Nie wykonuj redystrybucji między IGP, a BGP.
IGP nie powinno przenosić zewnętrznych informacji.
BGP ma zapewnić widoczność do zewnętrznych tras.
IGP rozgłasza adresy next-hop dla BGP, czyli np.
adresy Loopback.

9. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 9
OSPF
Stub Area
iBGP Area 0
POP
POP
POP POP
Ochrona przed redystrybucja (OSPF)
Zdefiniowanie obszarów jako
stub.
Filtrowanie LSA Type 3 na
routerach ABR. Leaking
adresów Loopback do sieci
szkieletowej.
Adresy Loopback z osobnej,
łatwo agregowalnej puli
adresów.
Domyślnie trasy iBGP nie sa
redystrybuowane do IGP.
NMS znajduje się w Area0.
OSPF
Stub Area
OSPF
Stub Area
OSPF
Stub Area
eBGP
eBGP
eBGPeBGP
ABR

10. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 10
Konwergencja sieci
Mechanizmy przyspieszające konwergencję
Carrier Delay
Event Dampening na interfejsie
Liczniki Hello/dead
Bi-Directional Forwarding Detection—(BFD)
Liczniki czasu generowania LSA oraz przeliczenia SPF
Incremental SPF
Przeliczenie części tras (Partial SPF)
LSA packet pacing
Licznik MinLSArrival
Mechanizmy zwiększające niezawodność
Stub router
Graceful Restart/NSF
NSR

11. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 11
Przeliczenie SPF
Konfiguracja Cisco:
spf-interval <spf-max> <spf-start> <spf-hold>
<spf-max> Maksymalny czas między kalkulacjami SPF (sek)
<spf-start> Czas do pierwszego przeliczenia (msek)
<spf-hold> Czas między pierwszym i drugim SPF (msek)
Konfiguracja Juniper:
set spf-options delay <> holddown <> rapid-runs <>
<delay> Czas odliczany w ‘fast mode’ (msek)
<holddown> Czas odliczany w ‘slow mode’ (msek)
<rapid-runs> Ilość szybkich update’ów, po których nastąpi
przełączenie w ‘slow mode’ (numer)
Przykład dla OSPF

12. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 12
Przeliczenie inkrementalne SPF
Incremental SPF
Zmodyfikowany algorytm Dijkstry
Utrzymuje niezmienioną część drzewa
Przbudowuje zmienioną część drzewa SPF
Dołącza ponownie usunięte segmenty do niezmienionej reszty
drzewa
R1
R2
R3
R4
R5

13. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 13
Wpływ Inkrementalnego SPF
Zawsze są węzły, które są bli ej zmian w topologii oraz
węzły, które są dalej.
Rozgłoszenie informacji o zmianie zabiera czas
proporcjonalnie do odległośc – najdalsze węzły są
informowane najpóźniej.
Je eli pełny SPF jest uruchamiany na wszystkich
węzłach, wówczas najdalsze routery zbiegną się
najpóźniej.
Wraz z iSPF dalsze węzły przetwarzają coraz mniej, w
krótszym czasie. Rezultatem jest szybsza
konwergencja całej sieci.

14. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 14
Przeliczenie części tras
Pełny SPF
Wywoływany przez zmianę dotyczącą węzła lub prefiksów.
Całe drzewo SPT jest przeliczane.
Wszystkie typy LSA (Type-1/2/3/4/5/7) są brane pod uwagę.
Częściowy SPF
Wywoływany przez zmianę pochodzącą od LSA Type-3/4/5/7.
Je eli jest to Type-3, wszystkie LSA Type-3 do prefiksu są
przeliczane.
Je eli jest to Type-5/7, wszystkie LSA Type-5/7 LSA do prefiksu
są przeliczane.
Je eli jest to Type-4, wszystkie LSA Type-4 LSA do
określonego ASBR oraz wszystkie LSA Type-5/7 LSA są
przeliczane.
Partial SPF

15. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 15
Przeliczenie części tras
Czas przeliczenia SPF
Pełny SPF:
Zale y od:
Ilości węzłów/linków w obszarze
Ilości LSA Type-3/4/5/7
Przykład przeliczenia SPF (12k)
50 węzłów ~ 10ms
100 węzłów ~ 25ms
500 węzłów ~ 50 ms
1000 węzłów ~ 100 ms
Częściowy SPF:
Szybkie przeliczenie – od 0,5 do 10 ms.
Partial SPF

16. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 16
C
10
10
Interakcja BGP z IGP
E uczy się trasy 10.1.1.0/24
poprzez iBGP od węzła D z
next-hop = A
E sprawdza ście kę do A i
znajduje ją w IGP poprzez
router D. E instaluje trasę BGP
w RIB.
Wraz z uruchomieniem C
pojawia się nowa ście ka. E
zmienia ście kę do A
wybierając C, jako najlepszą
ście kę.
A
B
D
E
10.1.1.0/24
eBGP
Pełna
siatka
połączeń
iBGP
20
20
Oryginalna
ście ka do
A
C oferuje
krótszą
metrykę do A

17. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 17
C
10
10
Interakcja BGP z IGP
Jednak BGP na C jest jeszcze
nie gotowe. Konwergencja 340
tys. prefiksów zabiera więcej
czasu.
Je eli E wysyła pakiety pod
10.1.1.1 węzeł C nie wie, gdzie
je wysłać dalej w sieci.
C odrzuca pakiety.
A
B
D
E
10.1.1.0/24
eBGP
Pełna
siatka
połączeń
iBGP
20
20
C nie ma w
RIB trasy
10.1.1.0/24

18. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 18
C
10
10
Odczekanie na BGP
Rozwiązaniem jest, by C
zasygnalizował sąsiadom, e nie
powinni korzystać z niego, jako
tranzytu.
Router E będzie przesyłał ruch poprzez
D do czasu zakończenia konwergencji
na C.
W OSPF czekanie na BGP
sygnalizowane jest za pomocą
maksymalnej metryki.
W ISIS jest opcja ustawienia bitu
overload (Cisco) lub maksymalnej
metryki (Juniper).
A
B
D
E
10.1.1.0/24
eBGP
Pełna
siatka
połączeń
iBGP
20
20
Nie wysyłaj danych

19. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 19
Bezpieczeństwo
Włączenie uwierzytelniania w IGP.
TTL-security w OSPF.
Ochrona przed przepełnieniem bazy LSA.
Nie rozgłaszanie adresów połączeniowych. Loopbacki
urządzeń osiągalne poprzez serwer pośredni.
ISIS działa bezpośrednio w warstwie 2. Nie mo na
zaatakować za pomocą IP.

20. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 20
Pytania i odpowiedzi

21. © 2011 Cisco Systems, Inc. All rights reserved.PLNOG6 21